【SCS評価制度×孫子】⑤サイバーセキュリティサプライチェーンリスクマネジメント

なぜ「取引先管理」が必要なのか

本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「監督（マネジメントサイクル）」を取り上げ、
意思決定を循環させ続ける重要性を整理しました。

第4回：なぜ「監督（マネジメントサイクル）」が必要なのか

大分類：取引先管理 ／ 中分類：サイバーセキュリティサプライチェーンリスクマネジメント（2-1）

取引先管理とは何か（SCS評価制度の要求）

SCSが求めていること

SCS評価制度では、以下のような対応が求められます。

自社だけでなく、関係する組織全体を対象に管理することが求められます。

SCS評価制度が管理対象としているのは、
自社のシステムや情報資産だけではありません。

顧客、委託先、クラウドサービス事業者、関連会社など、
サプライチェーンを構成する組織全体が対象です。

セキュリティは、
企業の境界線の内側だけを守ればよい時代ではなくなっています。

なぜ取引先管理が必要か（孫子における考え方）

この考え方は、孫子にも示されています。

以虞待不虞

―『孫子兵法・謀攻篇』

（備えをもって不意に備える）

取引先リスクの特徴は、
自社が想定していない場所から発生することにあります。

自社では十分な対策を講じていたとしても、

• 委託先から情報漏えいが発生する
• クラウド事業者の障害によってサービスが停止する
• 取引先経由でマルウェアに感染する

といった事象は現実に起こり得ます。

リスクは必ずしも自社の中から生まれるわけではありません。

孫子の文脈

孫子は、
戦いに勝つためには敵の行動をすべて予測する必要があるとは考えていません。

むしろ、

「何が起きても対応できる状態を準備すること」

を重視しています。

これが「以虞待不虞」の考え方です。

不意の事態そのものを防ぐことはできません。

しかし、
不意の事態に耐えられる体制を整えることはできます。

戦略とは、
未来を当てることではなく、
変化に備えることなのです。

ビジネスの文脈

企業活動は、
多くの組織との連携によって成立しています。

• 業務委託先
• クラウドサービス事業者
• 物流事業者
• 保守ベンダー
• 関連会社

こうした組織との関係が深まるほど、
事業の効率は向上します。

一方で、

• 自社では管理しきれないリスク
• 把握しきれていない依存関係
• 想定外の障害や事故

も増加します。

SCS評価制度が取引先管理を求めるのは、

「自社の外側に存在するリスクも経営課題として管理するため」

です。

関係の把握とは何か

取引先管理の第一歩は、
関係の可視化です。

• どの組織とつながっているか
• どの情報をやり取りしているか
• どこに依存しているか

管理できるのは、把握しているものだけです。

これは、
サプライチェーン全体の構造を理解することに相当します。

機密情報の境界を定める

機密情報の取扱いを明確にすることは、
管理範囲を定めることです。

• 保存場所が統一される
• アクセス権限が明確になる
• 責任範囲が整理される

管理対象が曖昧なままでは、対策は機能しません。

情報を共有する以上、

• 誰が管理するのか
• どのように利用するのか
• 契約終了後にどう扱うのか

を事前に決めておく必要があります。

これは単なる契約管理ではなく、
サプライチェーン全体の情報統制の問題です。

弱点は外に存在する

取引先のセキュリティ状況の把握も重要な要素です。

攻撃者は、
組織図に従って侵入先を選ぶわけではありません。

最も侵入しやすい場所を探します。

• 自社
• 委託先
• 関連会社
• クラウド事業者

の区別なく、

最も弱い場所が攻撃の入口になります。

サプライチェーンの安全性は、
最も弱い接点によって決まります。

だからこそ、

「委託したから終わり」

ではなく、

「委託先の状況を把握する」

ことが重要になります。

連携の設計

インシデント発生時には、
複数の関係者が関与します。

• 誰が対応主体となるか
• 誰が連絡するのか
• どこまで対応するのか

を事前に定めておかなければなりません。

事前に役割が決まっていなければ、
初動が遅れます。

これは第2回で扱った
「役割・責任・権限」の考え方を、
組織の外側へ拡張したものと言えます。

契約終了時の対応

契約終了後の情報回収・破棄も、
重要な管理対象です。

• アクセス権が残る
• データが削除されない
• 情報が残存する

といった状態は、
契約終了後もリスクが継続することを意味します。

利用が終了しても、
リスクは自動的には消えません。

SCS評価制度が契約終了時の回収・破棄を求めているのは、
サプライチェーンの出口まで管理対象と考えているからです。

SCS評価制度が求める本当の到達点

SCS評価制度は、

• 取引先との関係把握
• 機密情報の取扱い管理
• 取引先のセキュリティ状況確認
• インシデント時の役割整理
• 契約終了時の回収・破棄

を求めています。

しかしその本質は、

「組織の境界を越えてリスクを管理すること」
です。

自社だけを守る発想では、
サプライチェーンリスクには対応できません。

重要なのは、

「どこまでが自社の責任範囲なのか」

を明確にし、

関係する組織も含めて管理することです。

まとめ

取引先管理とは、

• 取引の管理ではなく
• 契約の管理でもなく

セキュリティの対象範囲を定義することです。

組織は単体で存在しているわけではありません。

つながる組織によって支えられています。

以虞待不虞

（想定外に備える）

つながるすべてが、管理対象となる。

サプライチェーン時代のセキュリティとは、
自社の内部だけを守ることではありません。

関係する組織全体を把握し、
リスクを共有し、
備えることです。

それがSCS評価制度の求める
サプライチェーンマネジメントなのです。

管理対象は正しく把握されているか

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

一つでも☑が付かない場合、

自社の外側にリスクが残っている可能性があります。

サプライチェーンリスクの特徴は、
問題が発生してから初めて関係性に気付くことです。

そのため、

「どの組織とつながっているのか」

を平時から把握しておく必要があります。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

取引先管理の目的は、
取引先を評価することではありません。

重要なのは、

自社がどの組織に依存し、

どのようなリスクを共有しているのかを理解することです。

まずは、
自社のサプライチェーン全体を見渡してみましょう。

次回は「資産管理」を取り上げ、
自社が守るべき対象をどのように把握するのかを整理します。

第6回：資産管理とは何か

参考

• 孫子兵法 – 維基文庫，自由的圖書館
  （『孫子兵法・謀攻篇』「以虞待不虞」）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省